Digital suveränitet i molnet – guide för kommuner och regioner

Den grundläggande nivån, och den enda de flesta leverantörer kan svara tydligt på. Datalokalisering handlar om i vilket land servrarna står och var säkerhetskopiorna förvaras.

Det här räcker inte eftersom fysisk placering inte avgör vem som har rätt att begära ut informationen. En serverhall i Sverige som ägs av ett bolag med moderbolag utanför EU ger inte det skydd många antar.

Fråga leverantören:

• I vilka länder lagras produktionsdata, säkerhetskopior och loggar?
• Var replikeras data vid failover?
• Var lagras metadata och telemetri – inte bara kunddatan?

Här avgörs vem som juridiskt kan tvinga fram åtkomst. Det styrs av ägarstruktur och bolagsregistrering, inte av geografi. Ett bolag som lyder under utländsk lagstiftning kan vara skyldigt att lämna ut data oavsett var servrarna står, och i vissa fall utan att kunden får kännedom om det.

Juridisk suveränitet missas ofta eftersom underleverantörskedjan sällan kartläggs hela vägen. Huvudleverantören kan vara svensk, medan underbiträdet för lagring, övervakning eller identitetshantering inte är det.

Fråga leverantören:

• Vem är ägare till driftleverantören och var är bolaget registrerat?
• Vilka underbiträden finns i kedjan, och vilken jurisdiktion lyder de under?
• Vad händer om en utländsk myndighet begär ut data – får vi veta det?
• Kan ni ge skriftliga garantier om att inga personuppgifter behandlas utanför EU/EES?

Juridiken säger inget om vem som faktiskt loggar in. Operativ suveränitet handlar om administrativ åtkomst: vem som kan läsa er data i praktiken, vilken bakgrundskontroll de har genomgått och var de befinner sig.

Det här är nivån där skillnaden mellan leverantörer blir störst. Många moderna driftmodeller bygger på att support och övervakning sker dygnet runt genom team i flera tidszoner. Det är effektivt, men innebär att administratörsrättigheter till samhällskritiska system kan ligga hos personer utanför Sverige.

Fråga leverantören:

• Vilken personal har administrativ åtkomst till miljön, och var arbetar de?
• Är personalen säkerhetsklassad? Enligt vilken nivå?
• Hur loggas och granskas privilegierad åtkomst?
• Var sitter jouren, och vilka rättigheter har den?

Teknisk suveränitet handlar om kontrollen över infrastrukturen: hårdvara, nät, krypteringsnycklar och förmågan att fortsätta leverera när samhället är under påfrestning. För kommuner och regioner är det här kopplat till kontinuitetsplanering och totalförsvarsansvar, inte bara till informationssäkerhet.

Det här testas sällan i upphandlingar trots att lön, HR och ekonomi är system som måste fungera även vid en allvarlig samhällsstörning. Löneutbetalningar kan inte pausas i väntan på att en utländsk driftpartner återupptar leveransen.

Fråga leverantören:

• Vem äger och driftar den fysiska infrastrukturen?
• Vilken förmåga finns att upprätthålla driften vid höjd beredskap?
• Finns testade kontinuitets- och återstartsplaner, och när testades de senast?

Den nyaste nivån, och den som kommer att avgöra vilka verksamheter som kan använda AI på känslig information. Om era AI-funktioner anropar modeller som körs utanför EU spelar det ingen roll att grunddatan lagras i Sverige – informationen lämnar ändå landet i det ögonblick den bearbetas.

Detta är särskilt relevant för offentlig sektor, där AI ofta pekas ut som svaret på det demografiska gapet: färre som ska göra mer. Men vinsten uteblir om regelverket gör att verktygen inte får användas på verklig data.

Fråga leverantören:

• Var körs de AI-modeller som ingår i tjänsten?
• Används kunddata för att träna modeller? Kan det avtalas bort?
• Finns tillgång till AI-infrastruktur inom Sverige eller EU?
• Hur loggas och granskas AI-funktionernas databehandling?